Cisco waarschuwt organisaties voor een actief aangevallen zerodaylek in IOS XE waardoor een ongeauthenticeerde aanvaller systemen op afstand volledig kan overnemen. De impact van het beveiligingslek (CVE-2023-20198) is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Het probleem raakt zowel fysieke als virtuele devices die IOS XE draaien en ook de HTTP of HTTPS Server feature hebben ingeschakeld. De eerste aanwijzingen van misbruik dateren van 18 september.

Cisco IOS XE is een besturingssysteem dat op switches en routers van het netwerkbedrijf kan draaien en wordt omschreven als een 'nieuwe en verbeterde' versie van Cisco's IOS-besturingssysteem. Een kwetsbaarheid in de web UI feature van IOS XE maakt het mogelijk voor een ongeauthenticeerde aanvaller om een account met 'privilege 15' aan te maken. Via dit account kan de aanvaller controle over het systeem krijgen.

De Web Management User Interface is een systeembeheertool voor het uitrollen en beheer van het systeem en het 'verbeteren van de gebruikerservaring'. Via de web UI is het ook mogelijk om configuraties te maken en het systeem te monitoren en troubleshooten, zonder dat er ervaring met de command-line interface vereist is. Cisco merkt op dat de web UI niet vanaf het internet of onbetrouwbare netwerken toegankelijk zou moeten zijn.

Via de kwetsbaarheid installeren de aanvallers een implant waarmee ze met het systeem kunnen communiceren. Deze implant kan een reboot van het systeem niet overleven. Dat geldt echter niet voor de lokale gebruikersaccounts die de aanvallers aanmaken.

Naast de waarschuwing voor de kwetsbaarheid heeft Cisco ook Indicators of Compromise gegeven waarmee kan worden gecontroleerd of een systeem is gecompromitteerd. Er is nog geen update beschikbaar om het probleem te verhelpen. Cisco adviseert als mitigatie om de HTTP Server feature op alle systemen die vanaf het internet toegankelijk zijn uit te schakelen. Het netwerkbedrijf ontdekte de kwetsbaarheid en misbruik tijdens meerdere supportzaken.